最后更新：2026年11月。本文根据 AWS 官方文档《您的 AWS 账户的根用户最佳实践》《IAM 中的安全最佳实践》《需要根用户凭证的任务》，以及 AWS Budgets、成本异常检测和“管理账单与成本管理访问权限”相关说明整理。控制台菜单、宽限期和功能可能会调整，请以 AWS 官网实时页面为准。
账号注册成功，只是能登录，并不等于AWS账号安全已经就绪。根用户邮箱一旦被盗，对方可以改付款方式、关掉告警，甚至关闭账户。注册和付款步骤见《AWS账号注册教程2026》。本文按官方建议，整理一份上线当天就能勾完的设置清单：根用户怎么用、MFA 怎么开、日常访问用什么身份，以及账单告警怎么设。
一、先分清：根用户只做少数事
创建账户时，用于注册的邮箱和密码就是根用户。官方说明，根用户对账户内所有服务和资源拥有完全访问权限。强烈建议不要用根用户做日常操作，只在必须使用根凭证的任务时登录。
按官方列出的常见情形，不属于 AWS Organizations 的独立账户通常需要根用户，才能修改根用户邮箱和密码、管理根用户访问密钥、关闭账户，或在关闭后的宽限期内重新打开账户；此外还包括恢复被误删权限的 IAM 管理员，以及激活 IAM 对账单和成本管理控制台的访问权限。另外还有查看部分税务发票、注册 AWS GovCloud (US)、为 S3 存储桶开启 MFA Delete、处理“拒绝所有主体”的 S3 存储桶策略或 SQS 队列策略等。完整清单会随服务更新，请以《需要根用户凭证的任务》为准。
日常管理应另建管理身份。官方建议：单独账户优先使用 IAM 角色（代入后获得临时凭证）；若使用 AWS Organizations 管理多个账户，则用 IAM Identity Center 集中管理用户和权限。能用临时凭证时，就不要依赖带长期密码和访问密钥的 IAM 用户。
二、根用户：密码、MFA 与访问密钥
1. 使用独立的强密码
官方要求根用户密码长度为 8 到 128 个字符；至少包含大写字母、小写字母、数字和符号（如 ! @ # $ % ^ & * () <> [] {} | _+-=）三类；不得与账户名称或邮箱相同。建议用密码管理器生成并单独保存，不要把根密码存放在“必须先登录这个 AWS 账户才能打开”的工具里——密码一旦遗忘，这些工具也帮不上忙。
2. 在宽限期内为根用户注册 MFA
所有账户类型（独立账户、组织管理账户和成员账户）都需要为根用户配置多重身份验证（MFA）。按目前官方中文文档：如果尚未启用 MFA，用户必须在首次尝试登录 AWS 管理控制台后的 14 天内完成注册；逾期通常要先完成注册才能继续使用控制台。该期限可能调整，以官网为准。
根用户最多可注册 8 台 MFA 设备，类型可以组合：FIDO 认证的硬件安全密钥、基于时间的一次性密码（TOTP）硬件令牌，以及手机或其他设备上的虚拟认证器应用。官方建议尽量使用防钓鱼的通行密钥（passkey）或安全密钥，并为根用户启用多台 MFA，避免一只手机丢失后无法登录。如果所有 MFA 都不可用，需要用登记过的邮箱和电话完成身份验证才能恢复，因此这两项联系方式必须保持可访问，而且不要由同一个人同时掌握。
3. 不要为根用户创建访问密钥
访问密钥可用于 AWS CLI 和 API。根用户的访问密钥一旦泄露，权限会覆盖整个账户，包括账单。官方强烈建议不要创建根用户访问密钥。偶尔需要编程访问时，文档建议使用带根凭证的 aws login 命令获取临时、自动轮换的凭证，而不是长期密钥。根用户任务尽量在控制台完成。
有条件的团队还可以把根密码和 MFA 交给不同的人保管（多人审批），根用户邮箱使用会转发给一组同事的工作邮箱，避免只有某个人才能收到 AWS 的安全通知。
三、日常身份：IAM 与 MFA
根用户设好之后，开实例、看日志、改配置等日常操作，都应改用管理用户或角色。如果仍使用 IAM 用户，官方建议为其启用 MFA，并尽可能改用角色的临时凭证。多账户环境优先考虑 IAM Identity Center；按其文档，该服务默认要求用户在用户名和密码之外再使用 MFA（具体开关以控制台为准）。
另外，请用根用户登录一次账户（Account）页面，找到 IAM 用户和角色访问账单信息的权限，勾选激活 IAM 访问权限，再给相应角色或用户附加账单相关策略。官方说明：仅激活这一项并不会自动授予权限；若不激活，即使某人拥有管理员策略，默认也进不了部分账单与成本管理控制台页面。激活后仍应按最小权限附加策略，不要把账单权限随意给所有人。
四、账单告警：预算和异常检测
账号被盗或资源被误开，往往先反映在费用上。建议注册当天就设好提醒，不要等月底才看账单。
- AWS Budgets（预算）：在“账单与成本管理”控制台创建成本预算，可按实际费用或预测费用设置阈值，并用邮件（一条通知最多 10 个地址，收件人需先验证）或 Amazon SNS 接收。也可以先用模板，例如零支出预算。免费套餐场景下如何用预算避免意外扣费，见《AWS免费套餐如何防止扣费》。官方说明，预算信息每天最多更新三次，通常间隔 8 到 12 小时，因此它不是秒级告警。
- 成本异常检测：用机器学习识别与历史模式不符的花费，可配置即时、每日或每周提醒。它适合发现“预算还没超、但某项费用突然异常”的情况。阈值和订阅方式以控制台和官方文档为准。
根用户登录和敏感操作，官方也建议纳入监控和告警。文档中提到的相关能力包括 AWS CloudTrail、Amazon CloudWatch、Amazon GuardDuty，以及用 AWS Config、Security Hub、Trusted Advisor 检查根用户是否已启用 MFA、是否存在根访问密钥。具体如何配置规则，请以《根用户最佳实践》中“监控访问权限和使用情况”一节为准。
五、一张可勾选的清单
| 检查项 | 要点 |
|---|---|
| 根用户使用范围 | 只做官方列出的必要任务，日常不用根用户登录 |
| 根用户密码 | 符合官方复杂度要求，单独保存，不与他人共用 |
| 根用户 MFA | 已在宽限期内注册；建议 2 台以上，优先安全密钥或通行密钥 |
| 根用户访问密钥 | 不要创建；若有历史密钥，确认后删除 |
| 恢复渠道 | 根用户邮箱和电话可访问，且不由同一人同时控制 |
| 日常身份 | 已创建管理角色或 Identity Center / IAM 用户，并为需要长期凭证的用户启用 MFA |
| 账单控制台权限 | 已用根用户激活 IAM 访问，并只授予必要策略 |
| 费用提醒 | 已创建成本预算告警，建议同时打开成本异常检测 |
常见问题
只开了虚拟 MFA，够不够？
官方允许使用虚拟认证器应用，但更推荐防钓鱼的安全密钥或通行密钥，并注册多台设备。只绑定一只手机时，丢失或换机后的恢复风险更高。
14 天内没注册 MFA 会怎样？
按目前文档，宽限期结束后需要先完成 MFA 注册才能访问管理控制台。具体提示以登录时的页面为准，并以官网最新说明为准。
通过经销商或代理商开的户，这张清单还适用吗？
适用，而且更要先确认账户归属：根用户邮箱、MFA 和付款方式是否在你这边。如果账户被加入对方的 AWS Organizations，权限和根用户策略可能不同——官方甚至建议在成员账户上移除根用户凭证，改由组织集中管理。开户前应问清归属，以及你能否自主开启 MFA 和预算告警，可参考《AWS经销商怎么选》，并在 AWS 品牌页 查看商家信息。
已经怀疑账号被盗怎么办？
在仍能登录的前提下，立即重置根用户密码，检查并删除不明的访问密钥、IAM 用户和异常资源，查看账单，并通过 AWS Support 报备。本文不能替代官方事件响应指南，处理步骤以 AWS 支持和安全文档为准。
相关阅读：AWS 品牌页 · AWS账号注册教程2026 · AWS免费套餐如何防止扣费 · AWS免费套餐2026 · AWS经销商怎么选